KT, 540억 해킹 과징금 철퇴···조사 방해 혐의로 고발도 당해 작성일 07-30 16 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">KT 해킹 피해 1만6000여명으로 집계···KT, 악성코드 감염 숨기고 로그 삭제 <br>KT “처분결과 무겁게 받아들여···의결서 수령 후 행정소송 여부 판단” <br>조사 전 서버 운영체제 폐기한 LGU+도 공무집행방해 수사의뢰키로</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="FApVEP8BJR"> <figure class="figure_frm origin_fig" contents-hash="a2b6fd5d75a409da6e932e027121995e7f5a881a3d88efcd22c9e7d058b76013" data-idxno="237784" data-type="photo" dmcf-pid="3cUfDQ6bJM" dmcf-ptype="figure"> <p class="link_figure"><img alt="서울 종로구 KT 광화문웨스트사옥 / 사진 = 연합뉴스." class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/30/552777-a6ToU27/20260730124820517pkiy.jpg" data-org-width="600" dmcf-mid="1p8nyNgRRd" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/30/552777-a6ToU27/20260730124820517pkiy.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 서울 종로구 KT 광화문웨스트사옥 / 사진 = 연합뉴스. </figcaption> </figure> <p contents-hash="b80c8f50fafcabdaeab44674a74c07df756ae124056cdc058ceab8d396f166d8" dmcf-pid="0ku4wxPKJx" dmcf-ptype="general">[시사저널e=김용수 기자] 작년 무단 소액결제 및 해킹 사고를 낸 KT가 개인정보보호위원회(개인정보위)로부터 총 539억7000만원 규모의 과징금 처분을 받았다. 당초 1000억원대 과징금이 예상됐지만, 소명 절차를 거쳐 과징금이 51%가량 감소한 SK텔레콤과의 형평성을 고려한 것으로 풀이된다. SK텔레콤과 마찬가지로 KT 역시 위반행위 시정 여부, 4500억원 규모 고객 보상 프로그램 시행 등 피해 회복 노력을 했다는 점이 감경 사유로 고려됐다. 과징금 처분과 별개로 거짓자료를 제출하는 등 조사를 방해한 혐의로 고발당했다. KT는 "처분 결과를 무겁게 받아들인다"며 의결서 수령 후 행정소송 여부를 결정하겠다는 입장을 밝혔다.</p> <p contents-hash="80f7b69d069e21bacc57db1302d3ba07130cabe6ef422863020e2256e6f38516" dmcf-pid="pApVEP8BJQ" dmcf-ptype="general">30일 개인정보위는 서울 종로구 정부서울청사에서 브리핑을 열고 전날 전체회의를 통해 KT에 대해 과징금 539억7900만원 부과와 시정명령, 개선권고, 공표 명령 등 제재를 결정했다고 밝혔다. 조사 과정에서 거짓자료 제출 등으로 조사를 방해한 행위에 대해 KT에 대한 고발도 의결했다.</p> <p contents-hash="a8bb1cee39d6dc9ab813173c2a41ddfa66c66d18f2b4ff6f169cbecfaad85244" dmcf-pid="UcUfDQ6bMP" dmcf-ptype="general"><strong>◇ KT망 이용자 1만6657명 정보 유출···386명·2.4억 소액결제 피해</strong></p> <p contents-hash="f43655f7db7ea5e878fd7448c24d63718b3a215b9bbd49cc9c24f9e511e5436a" dmcf-pid="uku4wxPKd6" dmcf-ptype="general">앞서 KT는 작년 9월 불법 소형기지국(펨토셀)을 악용한 해킹 공격으로 수도권 서남부 지역 가입자 2만2227명의 가입자식별번호(IMSI), 단말기식별번호(IMEI), 전화번호 등이 유출됐다. 이 중 368명은 총 777건, 약 2억4300만원 규모의 무단 소액결제 피해를 입었다.</p> <p contents-hash="c5f8642ac40fef468d1dffa2543482df5386d0850c393e85b090ecc96e0d5892" dmcf-pid="7E78rMQ9n8" dmcf-ptype="general">개인정보위 조사 결과 해커는 유실된 KT 펨토셀에서 인증서를 빼내 이를 자체 제작한 펨토셀에 심은 뒤 KT 이동통신망에 접속했다. 이용자 단말이 불법 펨토셀을 거치도록 유도해 휴대전화번호와 IMSI, IMEI 등을 가로챘다. 해커는 유출 정보와 별도로 확보한 이름, 성별, 생년월일 등을 결합해 휴대전화 소액결제를 요청한 뒤 인증번호가 포함된 문자메시지(SMS)와 자동응답전화(ARS)를 탈취했다.</p> <p contents-hash="d35e31e66e8af4372e563ebf1fd1dc5000b3ff94e00a91e0a75f491d610b447b" dmcf-pid="zDz6mRx2e4" dmcf-ptype="general">당초 신고된 유출 규모는 2만2227명이었지만, 법인과 다중회선 등 중복을 제외한 실제 정보주체는 1만6647명(알뜰폰 포함)으로 집계됐다. 이 중 368명에게 약 2억4000만원의 무단 소액결제 피해가 발생한 것으로 확인됐다.</p> <p contents-hash="e41b5f2f553dc7b24094943d7d820b840da526b691f06aec113f6a8a86a1184b" dmcf-pid="qwqPseMVJf" dmcf-ptype="general">사고 당시 KT의 팸토셀 관리체계가 전반적으로 부실했던 것이 문제였던 것으로 조사됐다. 내부망 접속을 위해 부여하는 인증서 유효기간을 10년으로 장기간 설정하고, 타사나 해외 인터넷 주소(IP)가 내부망에 접속 가능하도록 운영했으며, 이상 접속 행위에 대한 탐지·대응 체계도 부재한 상태였다.</p> <p contents-hash="6ddb04c58671fd6e3dcfa28ae75fea8c6e58ed715c1a52e2e311fa1426d18fac" dmcf-pid="BrBQOdRfLV" dmcf-ptype="general">개인정보위는 별도의 악성코드 감염 사고와 관련해 로그 삭제와 거짓 자료 제출 등으로 조사를 방해한 KT의 행위에 대해서는 경찰 고발하기로 했다. 앞서 KT는 작년 4월 SK텔레콤 개인정보 유출 사고를 계기로 KT 서버에 대한 악성코드 감염 여부를 전수 점검하는 과정에서 침해 발생 서버 일부(10대)의 로그를 삭제하는 등 조직적으로 침해사실을 은폐한 정황이 확인됐다.</p> <div contents-hash="0c85ab1ea8cb34df8836fa2a1baf605a1510b522e59fa5b8de035395f04e804b" dmcf-pid="bmbxIJe4e2" dmcf-ptype="general"> 양청삼 개인정보위 사무처장은 "개인정보위 조사 과정에서 초기에는 감염서버에 대한 보존 자료가 없다고 거짓 진술했지만, 위원회가 디지털포렌식을 통해 조사 착수 전 관련 로그를 삭제한 정황을 적발하자 진술을 번복하고 별도 보관 중인 로그를 뒤늦게 제출해 조사를 지연시키는 등 위원회의 사고 조사를 실질적으로 방해했다"고 말했다. </div> <figure class="figure_frm origin_fig" contents-hash="bed33a528dd85f20cb3fcdc5547d2bb98b005e724eb6afae0d06ec556ed72910" data-idxno="237785" data-type="photo" dmcf-pid="KsKMCid8R9" dmcf-ptype="figure"> <p class="link_figure"><img alt="양청삼 개인정보보호위원회 사무처장이 30일 서울 종로구 정부서울청사에서 개인정보 유출 및 무단 소액결제 피해사고를 낸 KT에 과징금 539억7900만원을 부과한다고 밝히고 있다. / 사진 = 연합뉴스" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202607/30/552777-a6ToU27/20260730124821800zlkm.jpg" data-org-width="960" dmcf-mid="tp02k64qMe" dmcf-mtype="image" height="auto" src="https://img1.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202607/30/552777-a6ToU27/20260730124821800zlkm.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> 양청삼 개인정보보호위원회 사무처장이 30일 서울 종로구 정부서울청사에서 개인정보 유출 및 무단 소액결제 피해사고를 낸 KT에 과징금 539억7900만원을 부과한다고 밝히고 있다. / 사진 = 연합뉴스 </figcaption> </figure> <p contents-hash="ce5b1825c017c0d8499e17213a30691d54539fdeb75064c3545e333e7bc71e88" dmcf-pid="9O9RhnJ6MK" dmcf-ptype="general"><strong>◇ 540억 재무적 손실 안고 출발하는 박윤영호 KT, 행정소송 여부 추후 판단</strong></p> <p contents-hash="dd150306b3b978d45d55e51cff74a897dc398f0fa64532a43fe802203d62c54c" dmcf-pid="2I2elLiPRb" dmcf-ptype="general">개인정보보호법에 따르면 위반 행위 관련 사업부문의 직전 3개 사업연도 평균 매출의 최대 3%까지 과징금을 부과할 수 있다. 사고가 발생한 KT 무선 서비스 매출의 2022~2024년 평균치는 약 6조5000억원 수준이다. 이를 법률 상한인 3% 기준으로 단순 계산하면 2000억원까지 과징금 부과가 가능하다.</p> <p contents-hash="682e838eacd22a33a27eb1e096fcf781cce8bc8b9bc6ad0ee8b8c4394e6a07e3" dmcf-pid="VCVdSonQnB" dmcf-ptype="general">다만 실제 부과 비율은 위반의 내용과 기간, 유출 규모, 피해 확산 여부, 사후 조치 등을 종합적으로 고려해 결정된다. 앞서 개인정보위가 대규모 개인정보 유출 사고와 관련해 SK텔레콤에 부과한 과징금(1348억원)은 SK텔레콤 2022~2024년 이동통신 평균 매출(약 10조5600억원)의 1%대 수준으로 적용됐다. 같은 비율을 적용한다면 KT의 과징금은 800억원 수준이지만, KT의 경우 SK텔레콤과 달리 실제 소액결제 피해가 발생했다는 점에서 제재 수위가 1000억원대로 높아질 수 있다는 관측이 지배적이었다.</p> <p contents-hash="9b3df5772a4c7ef9e2a5457ba1eefa6263b6d6a365027b110f0dde78722d05af" dmcf-pid="fhfJvgLxJq" dmcf-ptype="general">그러나 최종 과징금 규모는 540억원으로 당초 예상치의 절반 수준에 그쳤다. 여기에는 KT가 지난 2월부터 이달까지 4500억원 규모의 고객 보상 프로그램을 시행한 점 등을 고려한 것으로 풀이된다. SK텔레콤 역시 제재 수위를 결정하는 개인정보위 전체회의에서 최대 과징금 산정액 2759억2000만원이 제시됐지만, 51.1% 줄어든 1348억원이 확정됐다.</p> <p contents-hash="a01ffb055dd9880d8e141e23a2e0b3e0804642ae8c8a56e563c6cea6b2ae8dae" dmcf-pid="4yQgGcjJMz" dmcf-ptype="general">양 사무처장은 "무단 소액결제 사고가 발생한 KT 이동통신서비스의 5G·LTE 통신 매출을 기준으로 과징금을 산정했고, IPTV·인터넷통신 등 관련 없는 독립적인 매출액은 관련 매출액에서 제외했다"며 "국민의 생활에 필수적인 이동통신 서비스를 제공하는 기간통신사업자로서, 내부망에 대한 접근통제 관리 소홀로 공격자의 불법적인 접근을 제한하지 못하고 지속적인 접근에도 이상행위를 탐지하지 못해 실제 금전적 피해로 이어지는 등 개인정보 침해 수준이 상당히 높다는 점에서 중대한 위반행위로 판단했다"고 설명했다.</p> <p contents-hash="0afd18b2c5f56176eed4204b9120e20ecbc8c159f986859d1624135e795f2d7c" dmcf-pid="8WxaHkAiM7" dmcf-ptype="general">이어 "위반기간 및 위반행위의 시정 여부, 피해 회복 노력 등 다양한 요소를 고려해 최종 과징금액을 산정했다. (과징금 기준 매출 등) 구체적인 수치는 의결서가 확정되는 과정에서 공유할 예정"이라며 "피해 규모가 타 사업자 같은 경우에는 2300만명에 달해 유심에서의 인증키 부분들이 문제가 된 반면, KT는 확정된 유출 규모가 1만6647명이라는 점 등이 종합적으로 고려가 된 것"이라고 덧붙였다.</p> <p contents-hash="61e381f7ddd0c6284d26acaa5b037c16ed839555f4134350fb04860a30dd0505" dmcf-pid="6YMNXEcneu" dmcf-ptype="general">KT에 부과된 과징금 규모가 당초 시장의 예상보다 적다는 점에서 '선방'했다는 평가가 나오는 동시에, 박윤영 KT 대표가 취임 4개월 만에 500억원대의 재무적 손실을 떠안게 되면서 실적 악화가 지속될 수 있다는 우려도 나온다.</p> <p contents-hash="4941340a29ce7e252cd6b777759589b71fffb15ef49871ae4a233c613dfd3b60" dmcf-pid="PGRjZDkLMU" dmcf-ptype="general">특히 박 대표는 전임 김영섭 대표 체제에서 발생한 해킹 사고에 따른 정부의 과징금 처분에 대한 수용 여부도 결정해야 하는 부담을 안게 됐다. 정재헌 SK텔레콤 대표는 전임 유영상 대표 체제에서 발생한 해킹 사고로 인한 개인정보위 과징금 처분에 불복해 행정소송을 제기한 바 있다.</p> <p contents-hash="920b19f23c58931e9a99cf183393f4aa8344f81d8cf68a62daede0646a6fd8a1" dmcf-pid="QHeA5wEoep" dmcf-ptype="general">KT는 과징금 처분 의결서를 검토한 뒤 행정소송 여부를 결정할 전망이다.</p> <p contents-hash="1f6233392830656b12705aac9bdea88e69c693ffdbc57527557898e6c23ea607" dmcf-pid="xXdc1rDgJ0" dmcf-ptype="general">KT 관계자는 "처분 결과를 무겁게 받아들이며, 지난 사고로 고객과 국민 여러분께 큰 심려와 불안을 끼쳐드린 점에 대해 다시 한번 고개 숙여 깊이 사과드린다"며 "KT는 개인정보보호 체계 전반을 원점에서 재정비하고 있으며, 보안 투자를 확대하고 전사적 개인정보보호 역량을 강화하는 등 사태 재발 방지와 고객 신뢰 회복에 모든 역량을 다하겠다"고 밝혔다.</p> <p contents-hash="1fba1baf6c667fc2e97bf7cee3dbb635af0646bc3cdb90790116ae47a5f1fa18" dmcf-pid="yJHuLbqFL3" dmcf-ptype="general">한편 개인정보위는 작년 8월 미국 보안 전문지 'Phrack'에서 발표한 개인 정보 유출 사건 조사에 착수하기 전 서버 운영 체제를 재설치하거나 폐기한 LG유플러스에 대해서도 공무집행방해 행위로 수사를 의뢰하기로 했다.</p> <p contents-hash="b5974b49d5cf4fa4ca3427364e464c2613229cb9d4afd009d8b42fa2c6e1f8fd" dmcf-pid="WiX7oKB3iF" dmcf-ptype="general">개인정보위는 KT와 LG유플러스와 같이 개인정보 유출 가능성이 있음에도 조사나 제재를 회피하기 위한 목적으로 관련 증거를 은닉·폐기해 위원회 조사를 방해하는 행위에 대응하기 위한 제도개선을 추진한다. '조사 착수 전' 은닉·폐기 행위에 대해 형사 처벌 규정을 마련하고, 증거 은닉·폐기 시 과징금(전체 매출액의 3%) 부과, 증거 은닉·폐기를 신고해 조사·처분에 기여한 경우 신고포상금 지급 등 제도개선에 나선다.</p> </section> </div> <p class="" data-translation="true">Copyright © 시사저널e 무단전재 및 재배포 금지</p> 관련자료 이전 개보위 "KT 악성코드 유출 밝혀지면 추가 제재"[일문일답] 07-30 다음 [일문일답] 개보위 "KT 유출, 중대한 위반…피해보상·시정조치 고려" 07-30 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
